بهره‌برداری از Windows Phone Link توسط CloudZ RAT برای سرقت اعتبارنامه‌ها و رمزهای یک‌بار مصرف

محققان امنیت سایبری شرکت سیسکو تالوس (Cisco Talos) جزئیات یک حمله سایبری پیچیده را فاش کردند که در آن از یک ابزار دسترسی از راه دور (RAT) به نام CloudZ و یک افزونه (plugin) ناشناخته به نام Pheno برای سرقت اطلاعات اعتباری (credentials) و رمزهای یک‌بار مصرف (OTP) استفاده شده است. این حمله که از حداقل ژانویه ۲۰۲۶ فعال بوده، هنوز به هیچ گروه یا عامل تهدید شناخته‌شده‌ای نسبت داده نشده است. وجه تمایز این حمله در سوءاستفاده از برنامه قانونی Microsoft Phone Link است که در ویندوز ۱۰ و ۱۱ تعبیه شده و امکان همگام‌سازی گوشی هوشمند با رایانه را فراهم می‌کند؛ افزونه Pheno با نظارت بر فرآیندهای فعال این برنامه، به پایگاه داده SQLite آن دسترسی پیدا کرده و داده‌های حساس موبایل از جمله پیامک‌ها و رمزهای یک‌بار مصرف را بدون نیاز به نصب بدافزار روی گوشی رهگیری می‌کند.

زنجیره حمله با روشی نامشخص برای نفوذ اولیه آغاز می‌شود و سپس یک فایل اجرایی جعلی ConnectWise ScreenConnect مستقر می‌شود که یک بارگذار (loader) دات‌نت (.NET) را دانلود و اجرا می‌کند. این بارگذار با استفاده از یک اسکریپت PowerShell پایداری (persistence) خود را از طریق یک وظیفه زمان‌بندی‌شده تضمین کرده و سپس تروجان ماژولار CloudZ را مستقر می‌سازد. این تروجان پس از اجرا، یک اتصال رمزنگاری‌شده با سرور فرمان و کنترل (C2) برقرار کرده و دستوراتی را برای استخراج اطلاعات اعتباری مرورگر، داده‌های Phone Link و بارگذاری افزونه‌های اضافی دریافت می‌کند. محققان تأکید کردند که این یافته‌ها نشان می‌دهد چگونه ویژگی‌های قانونی همگام‌سازی بین دستگاهی می‌توانند مسیرهای حمله ناخواسته‌ای را برای دور زدن احراز هویت دو مرحله‌ای (two-factor authentication) ایجاد کنند.